REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Kaspersky décrit deux outils de contrôle à distance associés à Mirage Kitten. Leur distribution par de faux exercices de recrutement montre pourquoi un projet de développement reçu d’un inconnu doit être traité comme un logiciel non fiable.
Déroulement décrit par la source
- NodeRabbit est un outil de contrôle à distance construit avec Node.js et visant Windows, Linux et macOS.
- Les opérateurs diffusent des archives d’exercices de programmation piégés par des messages ciblés sur LinkedIn et d’autres plateformes d’emploi.
- PollCat est une autre famille de contrôle à distance multiplateforme, écrite en JavaScript obfusqué et distribuée par des archives du même type.
- Ces observations représentent, selon les chercheurs, le premier usage publiquement documenté de logiciels malveillants Node.js et JavaScript par ce groupe.
Comprendre les mécanismes et les enseignements
- Le recrutement crée une situation où l’exécution de code paraît normale. La confiance accordée à une conversation ou à un profil doit rester distincte de l’autorisation d’exécuter un projet sur un poste professionnel.
- Une archive contenant du JavaScript peut avoir des conséquences sur plusieurs systèmes d’exploitation. La présence d’un langage interprété ne réduit pas les droits du processus : ceux du compte et les secrets accessibles restent déterminants.
Les vérifications défensives utiles
- Définir avec les recruteurs un circuit de validation des exercices techniques. Confirmer l’identité et le canal d’envoi par un moyen indépendant avant d’ouvrir un projet ou d’installer ses dépendances.
- Utiliser un environnement d’évaluation isolé, sans secrets professionnels, clés de signature ni sessions de production. Examiner les scripts d’installation et les dépendances avant de lancer les commandes suggérées par le projet.
- Préparer une réponse adaptée aux postes de développement : inventorier les identifiants présents, conserver les traces d’exécution et prévoir leur renouvellement depuis un environnement sain en cas d’exposition confirmée.
Portée et limites
L’attribution à Mirage Kitten et les capacités décrites sont celles du rapport Kaspersky. Cette synthèse ne prouve pas qu’un message de recrutement donné appartienne à cette campagne, ni qu’un langage ou une plateforme soit malveillant en soi.
Rapport original
Mirage Kitten targeting aviation and FinTech sectors across the Middle East and Africa with a new malware set — securelist.com.